Sizce Flarum'da ne tür eklentiler eksik?

NightKing

Merhaba arkadaşlar sizce Flarum’da neler eksik? Şu olsaydı çok daha iyi olabilirdi diyeceğiniz özellikler neler?

Bir flarum kullanıcısı olarak nelerin olmasını isterdiniz? Nelere gerek olmadığını düşünüyorsunuz?

Bu başlık altında bunu tartışalım.

Eğer ki bana da mantıklı gelen ve Flarum’da olmayan bir eklenti fikri verirseniz boş zamanlarımda yavaş yavaş kodlamaya başlayabilirim. (Not: Yavaş yavaş kodlarım. Çünkü boş vaktim pek yok.)

Ama bunun için siz topluluğun da fikirleri önemli. En nihayetinde Flarum’u benden daha çok kullanan sizlersiniz. Ve ne eksik ne fazla siz daha iyi biliyorsunuz.

Böyle bir başlık altında neye gerek olduğunu düşünüyorsanız fikir belirtebilirsiniz.

mekici

NightKing Kararlı ve verimli bir websocket eklentisi olabilir.

Can

NightKing Bana göre flarum içerisinde tema çeşitliliği oluşturulup footer alanından tema değiştirme gibi özellikler getirilebilir.

Fakat bunu yapmak yerine değinmeleri gereken başka şeylerin olduğunu düşünüyorum.

durpoy

SEO uzantısı mutlaka geliştirilmeli. Bu konuda çok issue var. Eksik değil geliştirme ama.
Özet e-postaları olmalı. Discourse’dan bildiğimiz. Kullanıcılara e-posta gönderme sıklığı sorulmalı. 1 gün, 1 hafta, 1 ay gibi.

Aklıma geldikçe yanıt olarak göndereceğim.

NightKing

durpoy Seo uzantısı kesinlikle geliştirilmeli bence de. Fakat bunun çözümleri var. Konu içerisine de başlık metni ekle diyerek başlığı yazarsanız sizi daha ön plana atıyor.

mekici Bu uzun süredir aklımda hocam. Hatta bu konu ile ilgili bir eklenti yazmayı oldukça geniş zamana yayarak düşünüyorum.

mekici

NightKing Oldukça faydalı olur. Mevcut eklentiler sorunlu. Dikakat ettiysen bildirimler sayfa yenilemeden gelmiyor.

taklamakan

NightKing güzel oluyor öyle ben zaten her zaman h1 başlık ayrıca yazıyorum ilk gönderide ama blog eklentisini yüklersek o zaman kötü bir görünüm oluyor. O yüzden wordpress kuruyorum ayrıca nitelikli yazıları orada tutuyorum. Saçma belki ama öyle işte 😃

NightKing

mekici Evet o konuda sıkıntılar var. Fakat hepsi bir anda bitmeyebilir. Eklenti lk başta kronik sıkıntıları giderir sonrasında ise yavaş yavaş daha minimal sorunlarla ilgileniriz. Bütün hataları bir anda fixlemek çok zaman alacaktır. Önceliğe göre gidilebilir.

mekici

NightKing Katılıyorum.

Togan

Wordpress kullanırken Defender gibi IP hesapları takip eden 404 sayflarına çok erşim yapanları engelleyen ve brute force attackları engelleyebilen limit koyan bir eklenti kullanıyordum. Flarum’da da bot kontrolü olduğunu biliyorum ama böyle bir eklenti yok. Açıkçası sadece cloudflare ile korumak da pek mantıklı gelmiyor. Bu tip bir eklenti olabilir.

NightKing

Togan Bu problemi eklentiler büyük oranda çözmez ne yazık ki. Zaten çözebilecek olsaydı kimse Bruteforce ve DDoS gibi ataklar için Cloudflare gibi şirketlere ihtiyaç duymazdı. Yani buradaki olay sadece yazılımla aşılabilir bir durum değil. Hosting veya sunucu aldığınız firmanında elini taşın altına koyması gerekir ki kimse bu maliyete girmek istemez.

Togan

NightKing Genellikle sunucular ya da hosting firmaları sunucu ve hosting güvenliğini sağlıyorlar eğer eklediğin bir eklenti içeri bir şekilde ping atıyorsa bir şeyler inject ediyorsa kardeşim benim güvenliğim tam 3.parti yazılımlar beni ilgilendirmez noktasında birleşiyorlar cloudflare’i ücretsiz kullanıyorum sizce bu güvenlik için yeterli midir ? benim sitem çok hit almıyor ama ilerde populer olursa flarumtr gibi mesela ne önlemler almak gerekecek flarum tr bu önlemleri nasıl alıyor bilgi verebilirseniz çok makbule geçer.

Can

Togan Biraz iddialı konuşuyor olabilirim fakat Cloudflare bana göre DNS Yönetimi ve SSL’den başka bir işe yaramıyor. Özellikle EnterPrise paketi harici paketlerinin hiçbirinde DDoS korumasının olduğunu savunmuyorum/düşünmüyorum.

CSRF açığı, son dönemde türeyen Log4j açığı gibi bazı açıklar için güzel bir çözüm (cdn) fakat botnet, l7 katman saldırıları için aynı şeyi söyleyemiyorum. Çünkü çok çabuk ve basit bir şekilde atlatılıyor.

Togan

Can Dediklerinize DDOS dışında katılıyorum benim bir arkadaşım var bankada çalışıyor bir bankanın mobil uygulama test biriminde banka ismi vermiyim şimdi kendisiyle test sistemlerinden siteme DDOS atak yaptık. Cloudflare gerçekten korudu. Ama tabi diğer özellikler ücretsiz sürümde iş görmez bir de ücretsiz sürümde bazen cloudflare sunucu bağlantısı da çöküyor site açılmadığı oluyor sayfa yenilemek zorunda kalıyoruz.

NightKing

Can Kesinlikle aynı şeyleri düşünüyorum. DDoS mantığı ile 2013′lü yıllarda ünlenip sonrasında CDN’e yönelmiş bir oluşum CloudFlare. Enterprise’ı büyük şirketler kullanıyor olsa da bu şirketi asıl ayakta tutan 200 dolara satmış olduğu pakettir. Çünkü 200 dolara sattığı paketi kullananların hepsi illegal bahis, dizi, film siteleridir. Video dosyasını resimmiş gibi sisteme yedirip CloudFlare üzerinden dağıtımını yaptırmaktalar. CloudFlare’de buna 5-6 ay göz yumduktan sonra işte biz gerekeni yapıyoruz diyip kullanıcıyı banlıyor. Win win durumu yani anlayacağınız. Yani uzun lafın kısası CloudFlare gibi sistemlerin bende adamakıllı DDoS sunduğunu söyleyemem.

leojely

Can Aslına bakarsanız adamların size sunmuş olduğu sistem muhteşem tabii kullanmayı bilirseniz. Öncelikle saldırılardan korunmanız için IP gizlemenize yarıyor fakat en başta daha sunucu kurulumuna geçmeden yani dns şirketleri kayıtları görmeden domaini cloudflare’ye yönlendirip ondan sonra sunucu kurulumunu yaparsanız ip adresiniz kimse tarafından bilinmeyeceği için saldırı gibi bir durumda söz konusu olmaz. Tabii bunun için local post kullanmalardan kaçınmanız gerekiyor yoksa şifre sıfırlama maili gibi maillerle saldıracak kişi her türlü saldırır. Cloudflare iş yapmıyor diyen adam bu işlerden zerre anlamıyordur. Bir sitenin ip adresini bulun, yetmedi bir açık bulun, yetmedi shell yedirin, eval işlemleri gerçekleştirirken vs. cf blok atıyor. Eğer site php 5.4′ten aşağısını kullanıyorsa ki günümüzde artık böyle bir sistem bulmak çok zor ham ip’den açığı kullanabilirsiniz. Fakat onun dışında cf kurulu bir sitede url’den veya sqlmap’ten burp suite’den falan işlem yapmak çok zor.

NightKing

Togan Bahsettiğiniz banka Enterprise üyedir. Yani binlerce dolar para ödüyorlardır o koruma için. Onun dışında diğer paketler pek korumuyor açıkçası.

Nasıl korunacağınıza gelirsek load balancer ve gelen isteklerin sınırlandırılması ile bu sağlanılabiliyor. Yani atıyorum bir saniyede 10 istekten fazla atamayacağını kullanıcıya söylerdeniz sisteme yük binmez ve DDoS’u atan kişiler bunu aşmadığı sürece DDoS yemezsiniz. Eğer olurda aşarlarsa load balancer ile trafiği kademeli olarak bölerek yük dengelemesi ile sorunu çözebilirsiniz. Tabi bu işleriniz çok büyüyünce geçerli. Şimdi zaten bu safhada kimseden saldırı almazsınız.

Can

NightKing Çevremde iki satır node.js veya c# kodu ile bypasslayan kullanıcıları tanıyorum. Google hizmeti olan Cloud Shell’i kullanan adam bile içinde bulunan scripti ile kolayca sitemi düşürebiliyor. Bende oturup seyrediyorum.

Hatta son dönemde belki manuel müdahale ederim diye BetterUptime kullanmaya başladım. Botnet saldırgan için zevkli olsada özellikle shared barınan kullanıcılar için kabus gibi bir durum.

NightKing

Can Gelen istekleri sınırlandırın. Sorun çözülecektir. Sunucu hangi portu dinliyorsa if bloğunu kullanarak bir ip’den gelen istekler belirli bir zaman aralığında belirli sayıya limitlendirilebiliyor. Yani sistemin mantığı şöyle çalışıyor.

Eğer x IP adresinden saniyede 10 istekten fazlası geliyor ise bunu işleme alma ön bellekte javascriptin içinde tut o isteği ya reddet ya da isteği limitlendirme bitince işleme al denilebiliyor.

Togan

NightKing Benim wordpresste acı tecrübelerim olmuştu da ilk yaptığım işti müşterime web sitesi tasarlamıştım. Site google’a bir index attı +18 dünyam karardı virüslü dosyayı bulup sildim ama index kaldı gece gündüz google’a mailler url sildirme istekleri falan 1 hafta çözene kadar azap çekmiştim 😃 şimdi her sitemde minumum 30 adet güvenlik önlemi alıyorum o yüzden. Ama Flarum’a yabancıyım daha.

Bu arada bankaya saldırmadık bankanın test yazılımından benim siteme saldırdık güzel bir gündü 100K http request göndermiştik 😆

Can

NightKing Proxy kullanımı ile bu durum atlatılamaz mı?

Can

NightKing Boş bir zamanınızda bunun için örnek bir repository oluşturur musunuz? İlgim yoğun.

NightKing

Can Atlatılır fakat zaten olay DDoS atanı bunu yapmaya zorlamak. İstanbuldaki sunucuya Ankara’dan 15 ms de veri gelmesi var bir de 200 ms’de Kanada’dan. Yani şöyle düşünün kişi Proxy’e bağlanıp o veriyi Türkiye’den Kanada’ya yolluyor. Yani veri Direk sizden değil de dünyayı dolaşıp bana geliyor. Buda ağır zaman kaybına yol açıyor ve bu sayede sistem down olmuyor. Sunucu ayakta kalıyor.

NightKing

NightKing Sonrasında ise 10 istek tamamlanınca yine proxy ile başka ip bloğuna bağlanması gerekiyor. Yeni bir ip bloğuna bağlanırken de kaybettiği zaman da cabası 🙂

Can

NightKing Sanırım Rate Limiting mantığından bahsediyorsunuz. Bunu şu şekilde çeşitlendirsek başarıya ulaşır mıyız?

Belirli ip adresinden belirli bir request üstü istek gelirse hCapthca çözmeye zorla. Buna benzer bir proje ama bu proje sanırım çalışmıyor. hCapthca atlatılıyor ama en azından çoluk çocuğun vurmasını engellediğini düşünüyorum.

Sonraki Sayfa »